Z-CERT per 6 oktober wettelijk aangewezen als CSIRT voor de zorg
Gepubliceerd · Bijgewerkt
Stichting Z-CERT is met ingang van 6 oktober 2026 wettelijk aangewezen als CSIRT voor de sector gezondheidszorg en voor de subsector vervaardiging van medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek. Dat regelt een wijziging van de Cyberbeveiligingsregeling voor de zorg, gepubliceerd in de Staatscourant van 5 oktober 2026.
Z-CERT werkt sinds 2017 als CERT voor de zorg. Toen de regeling op 15 augustus in werking trad, kon de aanwijzing er nog niet in, omdat het verplichte overleg met de Algemene Rekenkamer niet was afgerond. Dat overleg is inmiddels afgerond.
Wat het betekent voor zorgorganisaties
Organisaties in de zorg die onder de Cyberbeveiligingswet vallen, hebben volgens de toelichting bij de regeling recht op de ondersteuning door Z-CERT die de wet beschrijft. Het ministerie van VWS bekostigt Z-CERT daarvoor vanaf 1 januari 2027; tot die datum loopt de financiering via de bestaande subsidie.
Tot nu toe betaalden instellingen zelf of via hun koepelorganisatie voor de dienstverlening van Z-CERT. Volgens de toelichting verandert dat, maar de regeling zegt niet hoe bestaande overeenkomsten worden afgewikkeld.
Wat niet verandert
De regeling stelt geen aanvullende eisen aan essentiële of belangrijke entiteiten. Registreren en melden blijven lopen via het portaal van het NCSC, mijn.ncsc.nl; de bestaande systemen van Z-CERT worden op dat portaal aangesloten. Een melding daar bereikt het sectorale CSIRT en de toezichthouder tegelijk. Hoe die melding in drie stappen werkt, staat in de meldplicht onder de Cyberbeveiligingswet.
Wat u nu doet
- Controleer of uw registratie op mijn.ncsc.nl de juiste sector vermeldt: gezondheidszorg, of voor fabrikanten de subsector vervaardiging van medische hulpmiddelen. Na registratie sluit u aan op de dienstverlening van uw sectorale CSIRT.
- Verwijst uw incidentprocedure naar een CSIRT, controleer dan of daar Z-CERT staat.
- Heeft u een overeenkomst met Z-CERT, als deelnemer of via uw koepel, vraag dan bij Z-CERT na wat de aanwijzing daarvoor betekent.
Bron
Regeling van de Minister van Langdurige Zorg, Jeugd en Sport van 22 september 2026, houdende wijziging van de Cyberbeveiligingsregeling voor de zorg, Staatscourant 2026, 35238. In werking met ingang van 6 oktober 2026.
De drie plichten blijven gelijk
Deze aanwijzing verandert niets aan registratie, zorgplicht en meldplicht. Zie hoe wij die inrichten en het bewijs actueel houden.
Bekijk hoe wij de Cbw-plichten inrichten